[Shellshock] Linux/Unix bug in bash shell

Sta ima da razmatra?

Kao ima veliki izbor na sta drugo ce da predje i sto nikad nece imati slican bug?

Da nece mozda sami da dizu svoj OS?

Sve takve institucije zanima samo jedno, da li je uopste i koliko brzo je izdan patch za to.

P.S. Inace, da slazem se bug nije uopste trivijalan i da je daleko opasniji nego sto je heartbleed bio.

Potpis

...

For added lulz :



svi zajedno treba da se pokrijemo usima i da cutimo

Daleko je od toga da je bug trivijalan.

Ovo je posledica pogresnih izbora koje je Linus vrsio kao tek svrseni student. Prosto je statisticki moralo da dolazi do gresaka.

Inace, ksh, zsh, tsch nisu pogodjeni ovim bagom. Dakle, default shell sva 4 BSD-a i OpenIndiana nisu pogodjeni bagom.

@EArthquake to na cmd-u nije bug realno i ne moze da se exploituje, nijedan servis na widowsu ne koristi cmd tako sto mu upucava vrednosti u env

@ventura, ako teras apache + suexec -> bilo ko moze da dobije shell na tvojoj masini, ako teras apache + bilo kakav cgi, ista prica, ako teras bilo koji web server (nginx, khttpd..) koji poziva neki cgi (php, python, perl ...) bilo ko moze da dobije shell na tvojoj masini .. dakle ako pogledamo od web servera nisu busni jedino tomcat, glassfish, wildfly i mozda jos neka sica .. (ok nije ni apache ako teras samo obican mod_php i nista drugo, sve druge kombinacije su busne) ... a kada neko dobije shell na tvojoj masini .. tu ti je dalje vec sve jasno zar ne

meni samo drago sto ja guram tcsh svuda :D

Potpis

arhimed
http://www.mysql.rs/ | http://elco.crsndoo.com/

Da ne pretjerujes malo Bogdane? Kako moze da se dobije shell ako pozivas neki cgi?
Ko bi koristio tako nesto ako je fundamentalno busno kao sto ti kazes?

Potpis

Beneath civilization's fragile crust, cold chaos churns...

ne preterujem, pogledaj kako radi apache i cgi i bice ti sve jasno,
apache upuca u env ono sto mu dodje u heder i pozove bash ..
najjednostaviniji primer






dovoljno je da se nekiurl zove kroz suexec i bum ..
takodje umesto cat /etc/passwd mozes da uradis wget neke svoje skripte
pa onda izvrsis tu svoju skriptu i ona uradi na serveru sta god si
napisao u njoj ..

ono sto shellshok bug ne daje je, ne daje ti privilegiju van one koju
imas, ali to je dovoljno da dobijes shell na remote masini, odatle ces
vec lako dalje .. da ne kazem da ces lagano da dobijes podatke o db
serveru, lokaciju, user, pass i slicno ..

pogledaj npr ovo:
http://blog.sucuri.net/2014/09...ncrease-in-the-wild-day-1.html

Potpis

arhimed
http://www.mysql.rs/ | http://elco.crsndoo.com/

Ah, izvini, ja sam skapirao da pricas nevezano za ovaj propust u bash-u.
U pravu si za ovo.

Potpis

Beneath civilization's fragile crust, cold chaos churns...

ma vezano za ovaj bug... on je strahovit .. pritom je poznato odavno ..
meni su busili neke servere danima, sve zivo sam probao nisam mogao da
resim problem, onda mi drugar ukrainac rekao zameni bash sa tcsh i neces
imati problem .. pazi to je bilo pre tipa 6-7 godina .. sad voleo bi da
mogu da kazem da sam znao za jadac, ali ocigledno ima njih mnogo koji
jesu ..

inace vec duze vreme teram neke java servere sa nginx ispred i imam
poseban log za nginx koji mi hvata samo vreme, ip, url, refurl i onda to
fail2ban cita i blokira ip-ove koji cimaju url-ove koji imaju u sebi
.php na primer ili mysqladmin ili wp-admin ili bilo sta od tih koje znam
da sigurno nemam ja na serveru, a onda imam poseban moj skript koji za
svaki rotate pravi neki sumarum urlova ... elem ja u ref-url vidjam to
() {.. godinama, nisam imao pojma o cemu je rec ... pogledaj ako imas
stare apache logove sa svojih servera ili ako imas neke sumarije ono %
posete po browser id-u .. ja sam sad kopao neke logove od pre 2 godine
.. i naravno () { je tamo .. neke stvari su mi mnogo jasnije od kada je
objavljen ovaj bug.. naravno posle bitke svi su generali ali zgodno je
pogledati stare logove i videti gde se sve pojavljuje "() {" string ...
sto je najgore mislim da i post deo funkcionise na isti nacin a to nemas
u logovima

Potpis

arhimed
http://www.mysql.rs/ | http://elco.crsndoo.com/

Ja nemam neke super poznate sajtove pa sam tek par pokusaja imao, od kojih su dosta njih nakon sto sam zakrpio server, nekoliko je od nekih sec blogova koji su skenirali pola interneta (blog.erratasec.com/2014/09/bash-shellshock-scan-of-internet.html) i bilo je nekih koji su pokusali da pokrenu irc botove, ali koliko sam vidio nisu uspjeli.
U svakom slucaju, poprilicna pi*darija.

Potpis

Beneath civilization's fragile crust, cold chaos churns...

nije ni ovo bilo nista super poznato ... a od 27septembra i na mom blogu
(koji nikako ne moze da se racuna kao poznat) ima preko 1000 entrija u
logu dnevno sa () {

Potpis

arhimed
http://www.mysql.rs/ | http://elco.crsndoo.com/

Jel ovo resava problem:
yum update bash


Kada kazete zamenili ste bash sa tcsh , jel to mislite na default shell u /ets/passwd ?
Kao i u vasim skriptama...

Biće da je Yahoo nagrabusio sa ovim. http://www.futuresouth.us/yahoo_response.jpg

Potpis

Meh... https://news.ycombinator.com/item?id=8418809

uh ovo je jos gore nego sto sam mislio ... imam 3 vrste ip kamera kod kuce SVE su afektirane !!!! naravno nema patch-a

Potpis

arhimed
http://www.mysql.rs/ | http://elco.crsndoo.com/

E bas to, inostrani izvori tvrde da su hakeri masovno urnisali ne web servere, nego NAS servere i druge uredjaje sa ranjivom *nix platformom na sebi :)

skroz je ok sto u 90% sprava (ruter, access point, dv risiver, kablovski
risiver, nas, ip kamera...) imam linux, ono sto mi nije jasno je, koji
ce kameri bash .. on je bre velik i glomazan i ... ima bre onih malih
shellova toliko ...

Potpis

arhimed
http://www.mysql.rs/ | http://elco.crsndoo.com/

Čekbre, jesam li ja dobro skapirao da se na Debianu koristi dash, a ne bash?

Potpis

Kad, tokom pravljenja Nes kafe, umesto da uzmeš mleko iz friza tamo ustvari staviš Nes konzervu - shvatiš koliko je multitasking za*ebana i pipava rabota :)

Ogromna je frka ispala sa bashom, da ne povjeruješ, i to tolike god stoji da ne povjeruješ. Ali bolje ikad nego nikad

Ajde da postavimo ovako stvari zamislite da MS razvija/održava bash, pojavi se ovaj bug (da napomenem da ovaj bug može da se eksplatiše na bar 5 različitih načina laički rečeno) i sad nakon određenog vremena
MS zakrpi bash ovaj prvi bug koji se pojavio i svi srećni i zadovoljni, i ko zna da li bi ovi ostali ikad bili otkriveni/zakrpljeni sreća naša što je open-source inače

Jedino mi nije jasno jedna stvar sad se ne sjećam gdje sam tačno pročitao "never intended to be secure" pa me posle ovoga ovakav bug i ne iznenađuje toliko

Potpis

vidovic-slobodan.blogspot.com

Ko vise koristi Linux na serverima? Da li sam nesto propustio? :D

Potpis

Stane Dolanc: "Bavljenje tehnikom treba da postane svakodnevna potreba coveka.."

/bin/bash_ga_usrashe

Potpis

oligofrenolog